비전공자가 AI로 개인정보 820만건 해킹…“AI가 사이버범죄 문턱 낮춰”

광고

생성형 인공지능(AI)을 활용해 국내 업체 90여 곳을 해킹하고 개인정보 820만여 건을 빼돌린 뒤 돈을 요구한 일당이 경찰에 붙잡혔다. 해킹 총책은 정보기술(IT) 비전공자였는데, 인공지능과 온라인 정보를 악용해 누구나 대규모 개인정보를 빼돌릴 수 있는 현실이 실제 확인된 셈이다.

서울경찰청 사이버수사과는 정보통신망법 위반과 공갈·공갈미수 혐의로 총책 ㄱ(32)씨를 구속 송치하고 공범 6명을 수사 중이라고 26일 밝혔다. ㄱ씨 등은 지난해 9월부터 이달까지 학원과 병원, 골프장, 대학, 상조회사, 대기업 계열사 등 국내 업체 90여곳의 전산망에 침입해 개인정보와 내부 자료 820만여건을 빼돌린 혐의를 받는다. 이들은 이 가운데 38개 업체에 유출 사실을 알리며 총3억6000만원을 요구한 것으로 조사됐다. 실제 돈을 건넨 것으로 확인된 업체는 1곳으로, 피해액은 30만원이다.

ㄱ씨는 정보기술과 무관한 비전공자로, 지난 2019∼2022년 보안업체에서 모의해킹 업무를 수행한 경력이 있다. 초기에는 웹사이트 취약점을 찾아주는 자동화 도구를 직접 조작했으나, 올해 8월부터는 생성형 인공지능을 본격적으로 활용해 다수의 업체를 무차별적으로 공격하기 시작했다고 한다. 이 과정에서 최근 금융권 대상 개인정보 유출에 사용된 아르텍스(에이아이 자율 침투 테스트 시스템)을 활용됐다. 경찰 관계자는 “전문 해커 조직이 아닌 개인도 인공지능의 도움을 받으면 다수 기업을 상대로 한 대규모 해킹이 가능해졌다는 점에서, 인공지능이 사이버 테러 범죄의 진입 장벽을 낮추고 있음을 보여주는 사례”라고 설명했다.

광고

이들은 해킹으로 확보한 개인정보 일부를 업체에 보낸 뒤, 정보 유출 사실이 알려지면 기업 이미지가 실추되고 과징금 부과와 손해배상 소송까지 이어질 수 있다고 압박한 것으로 조사됐다. 일부 업체가 요구에 응하지 않자 임직원에게 전화와 문자메시지로도 협박을 이어갔다. 공범들은 텔레그램에서 ‘30초 전화 아르바이트’ 등의 모집 글을 보고 가담했으며, 협박 전화 등을 하며 한 통에 1만∼3만 원을 받기로 한 것으로 조사됐다.

이번 사건은 경찰이 에이아이를 활용해 대규모 해킹 범죄를 적발한 첫 사례다. 경찰은 자체 개발한 인공지능 수사 도구로 통화내역 53만건의 자료와 수사보고서 419건 등을 분석해 일당을 추적했다고 밝혔다. 탈취된 개인정보가 담긴 저장장치는 확보했지만, 외부 유출 여부는 추가로 조사 중이다. 경찰은 아직 신고되지 않은 피해 업체 75곳에 대한 수사와 범죄수익 추적을 이어갈 방침이다. 경찰 관계자는 “인공지능 범죄에는 인공지능 기술로 맞서야 하는 만큼, 수사 현장에 인공지능 도입을 확대해 지능화되는 사이버 범죄에 적극적으로 대응할 예정”이라고 밝혔다.